專利名稱：一種支持安全監(jiān)控的安全監(jiān)控裝置及方法
技術(shù)領(lǐng)域：
本發(fā)明涉及系統(tǒng)監(jiān)控，具體來說，本發(fā)明涉及一種支持安全監(jiān)控的安全監(jiān)控裝置 及方法。
背景技術(shù)：
現(xiàn)在，計算機病毒功能越來越強大，尤其是通過網(wǎng)絡(luò)傳播的計算機病毒更是如此。 許多惡意用戶將諸如木馬、計算機病毒等的惡意程序和相關(guān)技術(shù)作為從事網(wǎng)絡(luò)犯罪活動的 主要工具和手段。其影響小則導(dǎo)致瀏覽器配置被修改、系統(tǒng)使用受限、網(wǎng)絡(luò)無法使用等，大 則導(dǎo)致數(shù)據(jù)受損或丟失、帳號密碼被盜等。甚至在某些情況下這些計算機病毒能夠控制他 人計算機并盜竊他人重要信息。由于諸如因特網(wǎng)的網(wǎng)絡(luò)技術(shù)日益發(fā)展和普及，因此，很難防止惡意用戶連接到網(wǎng) 絡(luò)上。在這種情況下，連接到網(wǎng)絡(luò)上的其他用戶都可能受到惡意用戶的攻擊。盡管人們已經(jīng)想出了許多方法來監(jiān)控這種網(wǎng)絡(luò)攻擊，但是，還是存在許多問題。在現(xiàn)有技術(shù)中，很難判斷與一個用戶所連接的對方用戶的身份。另外，即使在通信的開始階段對用戶的身份進行了認證，也很難保證在通信的過 程中不會有其他惡意用戶假冒該用戶。例如，在銀行服務(wù)器與用戶終端通信的情況下，在現(xiàn)有技術(shù)中，僅對用戶名和密碼 進行驗證，只有在進行關(guān)鍵操作的情況下，才要求用戶進行數(shù)字簽名。用戶的用戶名和密碼 很容易被他人截獲并冒用。因此，惡意用戶很容易就能夠連接到銀行的服務(wù)器上。從這個 方面來說，銀行服務(wù)器是直接暴露在網(wǎng)絡(luò)上的并且很容易受到攻擊。即使銀行服務(wù)器在開始時對用戶進行了驗證，由于在現(xiàn)有技術(shù)中沒有提供技術(shù)手 段來保護用戶和服務(wù)器之間的通信鏈路，因此，惡意用戶還是可以在通信過程中截獲通信 數(shù)據(jù)，以及攻擊銀行服務(wù)器，例如，重放攻擊等。另外，即使用戶是受信任的用戶，也很難保證用戶所發(fā)送的數(shù)據(jù)都是安全的數(shù)據(jù)。例如，計算機病毒越來越普遍并且越來越隱蔽。合法的用戶有時也很難保證在他 的計算機上運行的程序都是安全的程序。這樣，當(dāng)合法的用戶連接到銀行的服務(wù)器上時，在 該用戶不知情的情況下，計算機病毒也可能自動地將病毒程序發(fā)送到銀行服務(wù)器，從而對 銀行服務(wù)器造成損害。因此，需要提出一種新的安全監(jiān)控技術(shù)來解決上述現(xiàn)有技術(shù)中的任何問題。需要 一種新的安全監(jiān)控技術(shù)來對網(wǎng)絡(luò)通信以及傳輸?shù)臄?shù)據(jù)進行監(jiān)控。

發(fā)明內(nèi)容
本發(fā)明的一個目的在于至少部分地解決上面所述的現(xiàn)有技術(shù)中的問題里的至少 一個技術(shù)問題。本發(fā)明的另一個目的在于對可執(zhí)行文件進行監(jiān)控。本發(fā)明的另一個目的在于對安全鏈路進行監(jiān)控。
根據(jù)本發(fā)明的第一方面，提供了一種支持安全監(jiān)控的安全監(jiān)控裝置，包括獲取 單元，被配置成截獲文件；計算單元，被配置成計算文件的特征值；查找單元，被配置成根 據(jù)文件名查找白名單；監(jiān)測單元，被配置成根據(jù)白名單和所計算的文件的特征值進行監(jiān)測； 標(biāo)記單元，被配置成在監(jiān)測結(jié)果為否的情況下將該文件上報為可疑進程并拒絕運行該文 件，否則將該文件標(biāo)記為驗證成功并允許運行該文件。優(yōu)選地，所述文件是可執(zhí)行文件。優(yōu)選地，所述文件的特征值是文件的HASH值。優(yōu)選地，所述安全監(jiān)控裝置還包括白名單建立單元，被配置成根據(jù)用戶的指示建 立可信任文件的白名單，以及存儲白名單，其中，白名單至少包括可信任文件的文件名和可 信任文件的特征值，其中，所述查找單元還被配置成根據(jù)文件名檢取可信任文件的特征值，以及其中，所述監(jiān)測單元還被配置成所檢取的可信任文件的特征值和所計算的文件的 特征值進行監(jiān)測。優(yōu)選地，所述安全監(jiān)控裝置還包括安全鏈路管理單元，被配置成對發(fā)送文件的源 裝置進行認證，以及管理在接收文件的通信裝置和源裝置之間建立的安全鏈路。優(yōu)選地，所述安全鏈路管理單元還被配置成利用源裝置的公鑰對安全鏈路的密鑰 進行加密，以及將所述密鑰發(fā)送給源裝置。優(yōu)選地，所述安全鏈路管理單元還被配置成從源裝置接收文件并對文件進行解 密，其中，所述文件是經(jīng)源裝置數(shù)字簽名的，以及其中所述獲取單元被配置成截獲經(jīng)解密的 文件。優(yōu)選地，所述計算單元是通過硬件裝置來實現(xiàn)的。根據(jù)本發(fā)明的第二方面，提供了一種支持安全監(jiān)控的安全監(jiān)控方法，包括獲取步 驟，用于截獲文件；計算步驟，用于計算文件的特征值；查找步驟，用于根據(jù)文件名查找白 名單；監(jiān)測步驟，用于根據(jù)白名單和所計算的文件的特征值進行監(jiān)測；標(biāo)記步驟，用于在監(jiān) 測結(jié)果為否的情況下將該文件上報為可疑進程并拒絕運行該文件，否則將該文件標(biāo)記為驗 證成功并允許運行該文件。優(yōu)選地，所述文件是可執(zhí)行文件。優(yōu)選地，所述文件的特征值是文件的HASH值。優(yōu)選地，所述安全監(jiān)控方法還包括白名單建立步驟，用于根據(jù)用戶的指示建立可 信任文件的白名單，以及存儲白名單，其中，白名單至少包括可信任文件的文件名和可信任 文件的特征值，其中，所述查找步驟還包括根據(jù)文件名檢取可信任文件的特征值，以及其中，所述監(jiān)測步驟還包括根據(jù)所檢取的可信任文件的特征值和所計算的文件 的特征值進行監(jiān)測。優(yōu)選地，所述安全監(jiān)控方法還包括安全鏈路管理步驟，用于對發(fā)送文件的源裝置 進行認證，以及管理在接收文件的通信裝置和源裝置之間建立的安全鏈路。優(yōu)選地，所述安全鏈路管理步驟還包括利用源裝置的公鑰對安全鏈路的密鑰進 行加密，以及將所述密鑰發(fā)送給源裝置。優(yōu)選地，所述安全鏈路管理步驟還包括從源裝置接收文件并對該文件進行解密，其中，所述文件是經(jīng)源裝置數(shù)字簽名的，以及其中所述獲取步驟包括截獲經(jīng)解密的文件。優(yōu)選地，在所述計算步驟中，通過硬件裝置來計算文件的特征值。本發(fā)明的一個優(yōu)點在于，提供了安全監(jiān)控裝置或方法。本發(fā)明的另一個優(yōu)點在于，可以利用文件的特征值來監(jiān)控系統(tǒng)中的文件(可執(zhí)行 程序)，從而能夠保證系統(tǒng)本地的和/或外部輸入的文件(可執(zhí)行程序)的可控性。本發(fā)明的另一個優(yōu)點在于，可以保證文件(可執(zhí)行程序)對系統(tǒng)資源的訪問得到 有效的監(jiān)控。本發(fā)明的另一個優(yōu)點在于，能夠維護安全系統(tǒng)的正常運行。本發(fā)明的另一個優(yōu)點在于，根據(jù)本發(fā)明的第二實施例，對源裝置進行認證，從而可 以保證文件(可執(zhí)行程序)的來源的安全性。本發(fā)明的另一個優(yōu)點在于，對被監(jiān)控設(shè)備和源裝置之間的安全鏈路進行監(jiān)控，從 而保證通信的安全性。本發(fā)明的另一個優(yōu)點在于，利用公鑰和私鑰來傳遞用于安全鏈路的密鑰，從而保 證通信的安全性。本發(fā)明的另一個優(yōu)點在于，利用密鑰來建立安全鏈路，從而通信的安全性。本發(fā)明的另一個優(yōu)點在于，所接收的文件(可執(zhí)行程序)是經(jīng)過源裝置數(shù)字簽名 的，從而確保該文件是從源裝置產(chǎn)生的。本發(fā)明的另一個優(yōu)點在于，通過硬件裝置來計算特征值，因此可以提高安全性。通過以下參照附圖對本發(fā)明的示例性實施例的詳細描述，本發(fā)明的其它特征及其 優(yōu)點將會變得清楚。


構(gòu)成說明書的一部分的附圖描述了本發(fā)明的實施例，并且連同說明書一起用于解 釋本發(fā)明的原理。參照附圖，根據(jù)下面的詳細描述，可以更加清楚地理解本發(fā)明，其中圖1是示出了根據(jù)本發(fā)明的第一實施例的安全監(jiān)控裝置的框圖。圖2是示出了根據(jù)本發(fā)明的第一實施例的安全監(jiān)控方法的流程圖。圖3是示出了根據(jù)本發(fā)明的第二實施例的安全監(jiān)控裝置的框圖。圖4是示出了根據(jù)本發(fā)明的第二實施例的安全監(jiān)控方法的流程圖。圖5是示出了根據(jù)本發(fā)明的一個例子的示圖。
具體實施例方式現(xiàn)在將參照附圖來詳細描述本發(fā)明的各種示例性實施例。應(yīng)注意到除非另外具 體說明，否則在這些實施例中闡述的部件和步驟的相對布置、數(shù)字表達式和數(shù)值不限制本 發(fā)明的范圍。以下對至少一個示例性實施例的描述實際上僅僅是說明性的，決不作為對本發(fā)明 及其應(yīng)用或使用的任何限制。對于相關(guān)領(lǐng)域普通技術(shù)人員已知的技術(shù)、方法和設(shè)備可能不作詳細討論，但在適 當(dāng)情況下，所述技術(shù)、方法和設(shè)備應(yīng)當(dāng)被視為說明書的一部分。
在這里示出和討論的所有示例中，任何具體值應(yīng)被解釋為僅僅是示例性的，而不 是作為限制。因此，示例性實施例的其它示例可以具有不同的值。應(yīng)注意到相似的標(biāo)號和字母在下面的附圖中表示類似項，因此，一旦某一項在一 個附圖中被定義，則在隨后的附圖中不需要對其進行進一步討論。另外，需要說明的是，在附圖中，兩個模塊之間僅通過一條線連接，但是，本領(lǐng)域技 術(shù)人員應(yīng)當(dāng)知道，根據(jù)兩個模塊之間的數(shù)據(jù)通路的寬度，可能存在多條硬件布線，而附圖中 的這種連線僅僅是示意性的，而不作為對本發(fā)明的任何限制。<第一實施例>下面參照圖1和2來描述根據(jù)本發(fā)明的第一實施例。圖1是示出了根據(jù)本發(fā)明的第一實施例的安全監(jiān)控裝置的框圖。如圖1所示，安全監(jiān)控裝置1000包括獲取單元1100、計算單元1200、查找單元 1300、檢測單元1400和標(biāo)記單元1500。獲取單元1100截獲文件。例如，所述文件是可執(zhí)行文件。該文件可以被存儲在計算機的存儲器中。例如，該文件可以被存儲在計算機的硬 盤、軟盤、光盤、緩存、RAM等中?；蛘?，該文件可以是從外部輸入的。例如，該文件可以通過各種外部接口被輸入到 安全監(jiān)控裝置。所述接口例如包括網(wǎng)絡(luò)接口(例如以太網(wǎng)接口)、串行接口、并行接口等。獲取單元1100將所截獲的文件發(fā)送給計算單元1200。獲取單元1100將所截獲的 文件名發(fā)送給查找單元1300。計算單元1200計算文件的特征值。文件的特征值是可以由文件(數(shù)據(jù))計算得到的唯一標(biāo)識該文件的值，其中，無法 由該值逆向得到所述文件(數(shù)據(jù))。例如，所述特征值可以是根據(jù)HASH算法得到的HASH 值。HASH 算法例如包括 MD2、MD4、MD5、HAVAL, SHA 等。可以通過硬件裝置來實現(xiàn)計算單元1200。由于相對于軟件來說，硬件具有更高的 安全性。因此，通過這種方式可以提高系統(tǒng)安全性。查找單元1300根據(jù)文件名查找白名單。安全監(jiān)控裝置1000還可以包括白名單建立單元1600。白名單建立單元1600根據(jù)用戶的指示建立可信任文件的白名單以及存儲白名 單。例如，白名單可以至少包括可信任文件的文件名和可信任文件的特征值例如，當(dāng)計算機從外部接收到文件并且用戶判斷該文件是可信任文件時，白名單 建立單元1600計算該文件的特征值。該特征值例如是HASH值。白名單建立單元1600將所計算的特征值連同文件的文件名一同存儲在用于存儲 白名單的表中。該表例如可以位于計算機或者安全監(jiān)控裝置的存儲器中。在這種情況下，所述查找單元1300可以根據(jù)文件名來檢取可信任文件的特征值， 以及輸出所檢取的特征值。監(jiān)測單元1400根據(jù)白名單和所計算的文件的特征值進行監(jiān)測。例如，所述監(jiān)測單元1400從計算單元接收所計算的特征值以及從查找單元接收 所檢取的特征值。
所述監(jiān)測單元1400根據(jù)所檢取的可信任文件的特征值和所計算的文件的特征值 進行監(jiān)測。例如，所述監(jiān)測單元1400將所檢取的可信任文件的特征值與所計算的文件的特 征值進行比較。如果所檢取的可信任文件的特征值與所計算的文件的特征值相同，則可以 認為所截獲的文件是可信任的，并且所述監(jiān)測單元1400輸出肯定的監(jiān)測結(jié)果；否則，所述 監(jiān)測單元1400輸出否定的監(jiān)測結(jié)果。標(biāo)記單元1500在監(jiān)測結(jié)果為否定的情況下將所截獲的文件上報為可疑進程并拒 絕運行該文件，否則將所截獲的文件標(biāo)記為驗證成功并允許運行該文件。圖2示出了根據(jù)本發(fā)明的第一實施例的安全監(jiān)控方法2000的流程圖。如圖2所示，在步驟S2100，執(zhí)行獲取步驟，用于截獲文件。如前面所述，所述文件例如可以是可執(zhí)行文件。在步驟S2200，執(zhí)行計算步驟，用于計算文件的特征值。文件的特征值是可以由文件(數(shù)據(jù))計算得到的唯一標(biāo)識該文件的值，其中，無法 由該值逆向得到所述文件(數(shù)據(jù))。例如，所述特征值可以是根據(jù)HASH算法得到的HASH值。在計算步驟中，還可以通過硬件裝置來計算文件的特征值。這樣，可以進一步提高 安全性。在步驟S2300，執(zhí)行查找步驟，用于根據(jù)文件名查找白名單。另外，根據(jù)本發(fā)明的第一實施例的安全監(jiān)控方法2000還可以包括白名單建立步 驟，用于根據(jù)用戶的指示建立可信任文件的白名單，以及存儲白名單，其中，白名單至少包 括可信任文件的文件名和可信任文件的特征值。在查找步驟中，可以根據(jù)文件名從白名單中檢取可信任文件的特征值。在步驟S2400，執(zhí)行監(jiān)測步驟，用于根據(jù)白名單和所計算的文件的特征值進行監(jiān) 測。在監(jiān)測步驟中，可以根據(jù)所檢取的可信任文件的特征值和所計算的文件的特征值 進行監(jiān)測。例如，將所檢取的可信任文件的特征值與所計算的文件的特征值進行比較。如果 所檢取的可信任文件的特征值與所計算的文件的特征值相同，則可以認為所截獲的文件是 可信任的，并且輸出肯定的監(jiān)測結(jié)果；否則，輸出否定的監(jiān)測結(jié)果。在步驟S2500，執(zhí)行標(biāo)記步驟，用于在監(jiān)測結(jié)果為否的情況下將該文件上報為可疑 進程并拒絕運行該文件，否則將該文件標(biāo)記為驗證成功并允許運行該文件。在根據(jù)本發(fā)明的第一實施例中，可以利用文件的特征值來監(jiān)控系統(tǒng)中的文件(可 執(zhí)行程序)，從而能夠保證系統(tǒng)本地的和/或外部輸入的文件(可執(zhí)行程序)的可控性。根據(jù)本發(fā)明的第一實施例，可以保證文件(可執(zhí)行程序)對系統(tǒng)資源的訪問得到 有效的監(jiān)控。根據(jù)本發(fā)明的第一實施例，能夠維護安全系統(tǒng)的正常運行。<第二實施例>下面參照圖3和4來描述根據(jù)本發(fā)明的第二實施例。在根據(jù)本發(fā)明的第二實施例 中，增加了對通信鏈路的監(jiān)控和管理，而其他部分與第一實施例的相應(yīng)部分相同。在這里省略部分相同的描述。圖3示出了根據(jù)本發(fā)明的第二實施例的安全監(jiān)控裝置的框圖。如圖3所示，安全監(jiān)控裝置1000包括獲取單元1100、計算單元1200、查找單元 1300、檢測單元1400、標(biāo)記單元1500以及安全鏈路管理單元3700。安全鏈路管理單元3700對發(fā)送文件的源裝置(未示出)進行認證。源裝置例如 通過網(wǎng)絡(luò)連接到安全監(jiān)控裝置所監(jiān)控的設(shè)備。例如，為源裝置可以將其數(shù)字簽名發(fā)送給安全鏈路管理單元3700以進行認證等。 本領(lǐng)域技術(shù)人員可以想到許多方式來對源裝置進行認證，因此，在這里不再對其進行詳細 的描述。安全鏈路管理單元3700管理在接收文件的通信裝置和源裝置之間建立的安全鏈 路。例如，安全鏈路管理單元3700可以管理源裝置與所監(jiān)控的設(shè)備之間進行通信的 密鑰。例如，安全鏈路管理單元3700利用源裝置的公鑰對安全鏈路的密鑰進行加密，以 及將所述密鑰發(fā)送給源裝置。然后，源裝置接收到所述加密的密鑰之后，利用自己的私鑰對 其進行解碼以得到所述密鑰。之后，可以利用所述密鑰在被監(jiān)控的設(shè)備和源裝置之間進行
通{曰。安全鏈路管理單元3700從源裝置接收文件。所述文件是經(jīng)源裝置數(shù)字簽名的。獲取單元1100截獲文件。例如，所述文件是可執(zhí)行文件。該文件可以被存儲在計算機的存儲器中。例如，該文件可以被存儲在計算機的硬 盤、軟盤、光盤、緩存、RAM等中?；蛘撸撐募梢允菑耐獠枯斎氲?。例如，該文件可以通過各種外部接口被輸入到 安全監(jiān)控裝置。所述接口例如包括網(wǎng)絡(luò)接口(例如以太網(wǎng)接口)、串行接口、并行接口等。獲取單元1100將所截獲的文件發(fā)送給計算單元1200。獲取單元1100將所截獲的 文件名發(fā)送給查找單元1300。計算單元1200計算文件的特征值。文件的特征值是可以由文件(數(shù)據(jù))計算得到的唯一標(biāo)識該文件的值，其中，無法 由該值逆向得到所述文件(數(shù)據(jù))。例如，所述特征值可以是根據(jù)HASH算法得到的HASH 值。HASH 算法例如包括 MD2、MD4、MD5、HAVAL, SHA 等。查找單元1300根據(jù)文件名查找白名單。安全監(jiān)控裝置1000還可以包括白名單建立單元1600。白名單建立單元1600根據(jù)用戶的指示建立可信任文件的白名單以及存儲白名 單。例如，白名單可以至少包括可信任文件的文件名和可信任文件的特征值例如，當(dāng)計算機從外部接收到文件并且用戶判斷該文件是可信任文件時，白名單 建立單元1600計算該文件的特征值。該特征值例如是HASH值。白名單建立單元1600將所計算的特征值連同文件的文件名一同存儲在用于存儲 白名單的表中。該表例如可以位于計算機或者安全監(jiān)控裝置的存儲器中。在這種情況下，所述查找單元1300可以根據(jù)文件名來檢取可信任文件的特征值，以及輸出所檢取的特征值。監(jiān)測單元1400根據(jù)白名單和所計算的文件的特征值進行監(jiān)測。例如，所述監(jiān)測單元1400從計算單元接收所計算的特征值以及從查找單元接收 所檢取的特征值。所述監(jiān)測單元1400根據(jù)所檢取的可信任文件的特征值和所計算的文件的特征值 進行監(jiān)測。例如，所述監(jiān)測單元1400將所檢取的可信任文件的特征值與所計算的文件的特 征值進行比較。如果所檢取的可信任文件的特征值與所計算的文件的特征值相同，則可以 認為所截獲的文件是可信任的，并且所述監(jiān)測單元1400輸出肯定的監(jiān)測結(jié)果；否則，所述 監(jiān)測單元1400輸出否定的監(jiān)測結(jié)果。標(biāo)記單元1500在監(jiān)測結(jié)果為否定的情況下將所截獲的文件上報為可疑進程并拒 絕運行該文件，否則將所截獲的文件標(biāo)記為驗證成功并允許運行該文件。圖4示出了根據(jù)本發(fā)明的第一實施例的安全監(jiān)控方法4000的流程圖。如圖2所示，在步驟S4100，執(zhí)行安全鏈路管理步驟，用于對發(fā)送文件的源裝置進 行認證，以及管理在接收文件的通信裝置和源裝置之間建立的安全鏈路。在安全鏈路管理步驟中，還可以利用源裝置的公鑰對安全鏈路的密鑰進行加密， 以及將所述密鑰發(fā)送給源裝置。這樣，受監(jiān)控的設(shè)備和源裝置可以利用該密鑰在它們之間 進行通信。在安全鏈路管理步驟中，還可以從源裝置接收文件并對該文件進行解密。所述文 件是經(jīng)源裝置數(shù)字簽名的。在步驟S4200，執(zhí)行白名單建立步驟，用于根據(jù)用戶的指示建立可信任文件的白名 單，以及存儲白名單，其中，白名單至少包括可信任文件的文件名和可信任文件的特征值。在步驟S4300，執(zhí)行獲取步驟，用于截獲文件。如前面所述，所述文件例如可以是可執(zhí)行文件。在步驟S4400，執(zhí)行計算步驟，用于計算文件的特征值。文件的特征值是可以由文件(數(shù)據(jù))計算得到的唯一標(biāo)識該文件的值，其中，無法 由該值逆向得到所述文件(數(shù)據(jù))。例如，所述特征值可以是根據(jù)HASH算法得到的HASH值。在步驟S4500，執(zhí)行查找步驟，用于根據(jù)文件名查找白名單。在查找步驟中，可以根據(jù)文件名從白名單中檢取可信任文件的特征值。在步驟S4600，執(zhí)行監(jiān)測步驟，用于根據(jù)白名單和所計算的文件的特征值進行監(jiān) 測。在監(jiān)測步驟中，可以根據(jù)所檢取的可信任文件的特征值和所計算的文件的特征值 進行監(jiān)測。例如，將所檢取的可信任文件的特征值與所計算的文件的特征值進行比較。如果 所檢取的可信任文件的特征值與所計算的文件的特征值相同，則可以認為所截獲的文件是 可信任的，并且輸出肯定的監(jiān)測結(jié)果；否則，輸出否定的監(jiān)測結(jié)果。在步驟S4700，執(zhí)行標(biāo)記步驟，用于在監(jiān)測結(jié)果為否的情況下將該文件上報為可疑 進程并拒絕運行該文件，否則將該文件標(biāo)記為驗證成功并允許運行該文件。
根據(jù)本發(fā)明的第二實施例，對源裝置進行認證，從而可以保證文件(可執(zhí)行程序) 的來源的安全性。根據(jù)本發(fā)明的第二實施例，對被監(jiān)控設(shè)備和源裝置之間的安全鏈路進行監(jiān)控，從 而保證通信的安全性。根據(jù)本發(fā)明的第二實施例，利用公鑰和私鑰來傳遞用于安全鏈路的密鑰，從而保 證通信的安全性。根據(jù)本發(fā)明的第二實施例，利用密鑰來建立安全鏈路，從而通信的安全性。根據(jù)本發(fā)明的第二實施例，所接收的文件(可執(zhí)行程序)是經(jīng)過源裝置數(shù)字簽名 的，從而確保該文件是從源裝置產(chǎn)生的?！蠢印祱D5示出了根據(jù)本發(fā)明的一個例子。如圖5所示，用戶終端5301、5301經(jīng)由網(wǎng)絡(luò)5100連接到通信裝置5210。通信裝置5210耦合到服務(wù)器5200和根據(jù)本發(fā)明的安全監(jiān)控裝置5220。本領(lǐng)域技術(shù)人員應(yīng)當(dāng)理解，盡管在圖5中，為了描述的方便，而將服務(wù)器5200、通 信裝置5210和安全監(jiān)控裝置5220示出為分離的，但是，實際上，它們可以位于同一個位置， 或者位于同一個機架上，或者甚至位于同一塊板卡上。服務(wù)器5200例如可以是銀行系統(tǒng)的服務(wù)器。用戶通過用戶終端5301、5302來訪 問銀行系統(tǒng)，辦理業(yè)務(wù)等。安全監(jiān)控裝置5220可以首先建立白名單。例如，安全監(jiān)控裝置5220可以對服務(wù) 器上記錄的程序以及通過網(wǎng)絡(luò)接收的程序文件進行認證，如果通過認證，并且例如服務(wù)器 的管理員授權(quán)該程序文件在服務(wù)器上運行，則安全監(jiān)控裝置5220計算該該程序文件的特 征值，例如HASH值，并存儲所述特征值以及文件名。下面以用戶終端5301為例來說明根據(jù)本發(fā)明的例子。例如，用戶終端5301請求與通信裝置5210建立連接。用戶終端5301將設(shè)備的認 證信息發(fā)送給通信裝置5210。通信裝置5210將所述認證信息發(fā)送給安全監(jiān)控裝置5220。安全監(jiān)控裝置5220對 用戶終端5301進行認證。如果通過認證則允許用戶終端5301訪問服務(wù)器；否則不允許用 戶終端5301訪問服務(wù)器。如果允許用戶終端5301訪問服務(wù)器，安全監(jiān)控裝置5220為用戶終端5301分配用 于建立安全鏈路的密鑰。安全監(jiān)控裝置5220利用用戶終端5301的公鑰對所述密鑰進行加 密，并將該加密的密鑰發(fā)送給通信裝置5210。通信裝置5210該加密的密鑰發(fā)送給用戶終端 5301。用戶終端5301利用自己的私鑰對該加密的密鑰進行解密。安全監(jiān)控裝置5220將所 述密鑰發(fā)送給通信裝置5210。在通信裝置5210和用戶終端5301之間利用所述密鑰建立安 全鏈路，以進行通信。用戶可以利用用戶終端5301經(jīng)由所建立的安全鏈路來訪問服務(wù)器。例如，用戶可以將自己的文件(可執(zhí)行程序)發(fā)送給通信裝置5210。通信裝置 5210接收數(shù)據(jù)，并將所述數(shù)據(jù)發(fā)送安全監(jiān)控裝置5220。安全監(jiān)控裝置5220利用已經(jīng)產(chǎn)生 的白名單對所述文件進行監(jiān)測，以判斷該文件是否合法。在監(jiān)測結(jié)果為否的情況下將該文 件上報為可疑進程并拒絕運行該文件，否則將該文件標(biāo)記為驗證成功并允許運行該文件。
安全監(jiān)控裝置5220也可以監(jiān)控服務(wù)器本地的文件進行監(jiān)控。當(dāng)收到對服務(wù)器本 地的文件的執(zhí)行請求時，安全監(jiān)控裝置5220截獲所述文件，并利用已經(jīng)產(chǎn)生的白名單對所 述文件進行監(jiān)測。在監(jiān)測結(jié)果為否的情況下將該文件上報為可疑進程并拒絕運行該文件， 否則將該文件標(biāo)記為驗證成功并允許運行該文件。可能以許多方式來實現(xiàn)本發(fā)明的方法和裝置。例如，可通過軟件、硬件、固件或者 軟件、硬件、固件的任何組合來實現(xiàn)本發(fā)明的方法和裝置。用于所述方法的步驟的上述順序 僅是為了進行說明，本發(fā)明的方法的步驟不限于以上具體描述的順序，除非以其它方式特 別說明。此外，在一些實施例中，還可將本發(fā)明實施為記錄在記錄介質(zhì)中的程序，這些程序 包括用于實現(xiàn)根據(jù)本發(fā)明的方法的機器可讀指令。因而，本發(fā)明還覆蓋存儲用于執(zhí)行根據(jù) 本發(fā)明的方法的程序的記錄介質(zhì)。雖然已經(jīng)通過示例對本發(fā)明的一些特定實施例進行了詳細說明，但是本領(lǐng)域的技 術(shù)人員應(yīng)該理解，以上示例僅是為了進行說明，而不是為了限制本發(fā)明的范圍。本領(lǐng)域的技 術(shù)人員應(yīng)該理解，可在不脫離本發(fā)明的范圍和精神的情況下，對以上實施例進行修改。本發(fā) 明的范圍由所附權(quán)利要求來限定。
權(quán)利要求
1. 一種支持安全監(jiān)控的安全監(jiān)控裝置，包括 獲取單元，被配置成截獲文件；計算單元，被配置成計算文件的特征值； 查找單元，被配置成根據(jù)文件名查找白名單； 監(jiān)測單元，被配置成根據(jù)白名單和所計算的文件的特征值進行監(jiān)測； 標(biāo)記單元，被配置成在監(jiān)測結(jié)果為否的情況下將該文件上報為可疑進程并拒絕運行該 文件，否則將該文件標(biāo)記為驗證成功并允許運行該文件。
2.如權(quán)利要求1所述的安全監(jiān)控裝置，其中，所述文件是可執(zhí)行文件。
3.如權(quán)利要求1所述的安全監(jiān)控裝置，其中，所述文件的特征值是文件的HASH值。
4.如權(quán)利要求1所述的安全監(jiān)控裝置，還包括白名單建立單元，被配置成根據(jù)用戶的 指示建立可信任文件的白名單，以及存儲白名單，其中，白名單至少包括可信任文件的文件 名和可信任文件的特征值，其中，所述查找單元還被配置成根據(jù)文件名檢取可信任文件的特征值，以及 其中，所述監(jiān)測單元還被配置成所檢取的可信任文件的特征值和所計算的文件的特征 值進行監(jiān)測。
5.如權(quán)利要求1所述的安全監(jiān)控裝置，還包括安全鏈路管理單元，被配置成對發(fā)送文 件的源裝置進行認證，以及管理在接收文件的通信裝置和源裝置之間建立的安全鏈路。
6.如權(quán)利要求5所述的安全監(jiān)控裝置，其中，所述安全鏈路管理單元還被配置成利用 源裝置的公鑰對安全鏈路的密鑰進行加密，以及將所述密鑰發(fā)送給源裝置。
7.如權(quán)利要求5所述的安全監(jiān)控裝置，其中，所述安全鏈路管理單元還被配置成從源 裝置接收文件并對文件進行解密，其中，所述文件是經(jīng)源裝置數(shù)字簽名的，以及 其中，所述獲取單元被配置成截獲經(jīng)解密的文件。
8.如權(quán)利要求1所述的安全監(jiān)控裝置，其中，所述計算單元是通過硬件裝置來實現(xiàn)的。
9. 一種支持安全監(jiān)控的安全監(jiān)控方法，包括 獲取步驟，用于截獲文件；計算步驟，用于計算文件的特征值； 查找步驟，用于根據(jù)文件名查找白名單； 監(jiān)測步驟，用于根據(jù)白名單和所計算的文件的特征值進行監(jiān)測； 標(biāo)記步驟，用于在監(jiān)測結(jié)果為否的情況下將該文件上報為可疑進程并拒絕運行該文 件，否則將該文件標(biāo)記為驗證成功并允許運行該文件。
10.如權(quán)利要求9所述的安全監(jiān)控方法，其中，所述文件是可執(zhí)行文件。
11.如權(quán)利要求9所述的安全監(jiān)控方法，其中，所述文件的特征值是文件的HASH值。
12.如權(quán)利要求9所述的安全監(jiān)控方法，還包括白名單建立步驟，用于根據(jù)用戶的指 示建立可信任文件的白名單，以及存儲白名單，其中，白名單至少包括可信任文件的文件名 和可信任文件的特征值，其中，所述查找步驟還包括根據(jù)文件名檢取可信任文件的特征值，以及 其中，所述監(jiān)測步驟還包括根據(jù)所檢取的可信任文件的特征值和所計算的文件的特 征值進行監(jiān)測。
13.如權(quán)利要求9所述的安全監(jiān)控方法，還包括安全鏈路管理步驟，用于對發(fā)送文件 的源裝置進行認證，以及管理在接收文件的通信裝置和源裝置之間建立的安全鏈路。
14.如權(quán)利要求13所述的安全監(jiān)控方法，其中，所述安全鏈路管理步驟還包括利用源 裝置的公鑰對安全鏈路的密鑰進行加密，以及將所述密鑰發(fā)送給源裝置。
15.如權(quán)利要求13所述的安全監(jiān)控方法，其中，所述安全鏈路管理步驟還包括從源裝 置接收文件并對該文件進行解密，其中，所述文件是經(jīng)源裝置數(shù)字簽名的，以及 其中，所述獲取步驟包括截獲經(jīng)解密的文件。
16.如權(quán)利要求9所述的安全監(jiān)控方法，其中，在所述計算步驟中，通過硬件裝置來計 算文件的特征值。
全文摘要
本發(fā)明公開了一種支持安全監(jiān)控的安全監(jiān)控裝置及方法。該支持安全監(jiān)控的安全監(jiān)控裝置，包括獲取單元，被配置成截獲文件；計算單元，被配置成計算文件的特征值；查找單元，被配置成根據(jù)文件名查找白名單；監(jiān)測單元，被配置成根據(jù)白名單和所計算的文件的特征值進行監(jiān)測；標(biāo)記單元，被配置成在監(jiān)測結(jié)果為否的情況下將該文件上報為可疑進程并拒絕運行該文件，否則將該文件標(biāo)記為驗證成功并允許運行該文件。
文檔編號H04L12/24GK101997832SQ20091016136
公開日2011年3月30日 申請日期2009年8月10日 優(yōu)先權(quán)日2009年8月10日
發(fā)明者劉大力, 曹春春 申請人:北京多思科技發(fā)展有限公司